安全性條件約束若過晚應用，會導致資源洩漏給未經授權的使用者：由 Apache Tomcat 中的 Servlet 註解定義的安全性條件約束，僅在載入 Servlet 後才會套用。以此方式定義的安全性條件約束會套用到 URL 模式以及該點之下的任何 URL，因此可能會根據載入 Servlet 的順序，而沒有套用部分安全性條件約束。這可能導致向未獲存取授權的使用者洩漏資源。(CVE-2018-1305) 在安全性條件約束中錯誤處理空白字串 URL 會導致資源意外洩漏：完全對應至內容 root 的 ‘’ (空白字串) 的 URL 模式在 Apache Tomcat 中當做安全性條件約束定義一部分使用時，未得到正確處理。這會造成條件約束被忽略。因此未經授權的使用者可存取應該受到保護的 Web 應用程式資源。只有具有空白字串之 URL 模式的安全性條件約束會受到影響。(CVE-2018-1304)

偵測

Amazon Linux AMI : tomcat7 / tomcat8 (ALAS-2018-972)

medium Nessus Plugin ID 108597

找不到變更記錄